# Chave de sessão do Claude: riscos e revogação do acesso > Como uma chave de sessão difere de uma palavra-passe e de uma chave de API, o que permite fazer, como verificar uma extensão e como terminar outras sessões. Com exemplos e ligações para as regras. Source: https://ailoot.ai/blog/pt-pt/claude-session-key-security/ Canonical: https://ailoot.ai/blog/pt-pt/claude-session-key-security/ Language: pt-PT Publisher: Ailoot (https://ailoot.ai/) Translation: guide-071 Revision: sha256-e4d850d991b7080e1609bcd149b1fbb12ab7ab9112e8587f36d78cdef200c234 Se uma extensão ou um vendedor de subscrições lhe pedir uma sequência que começa por `sk-ant-sid`, não a entregue. Esta sequência chama-se chave de sessão. Não é uma palavra-passe; é uma porta já aberta para a sua conta: com ela, alguém pode ler todas as suas conversas e ficheiros, não lhe será pedido um segundo fator e pode revogar a sessão afetada em Active sessions. Se não identificar qual foi divulgada, use a ação “Log Out” para toda a conta, que também termina as suas sessões. Já a entregou? Avance diretamente para a secção sobre como terminar o acesso. Os dois primeiros passos demoram um minuto. A seguir: o que é esta sequência, o que pode ver a pessoa do outro lado e porque é que as regras da Anthropic consideram a sua entrega uma violação. Este artigo não explica como extrair a chave: em vez de instruções como “prima F12 e copie”, analisa as consequências de conceder acesso a alguém. [Encontre na documentação informações práticas sobre como trabalhar com a Ailoot](https://ailoot.ai/docs/).
Atenção Isto não é aconselhamento jurídico e não são aqui fornecidas recomendações jurídicas. A secção jurídica serve para mostrar a dimensão das consequências. As regras da Anthropic são citadas conforme estavam a 19 de agosto de 2026.
## O que é uma chave de sessão do Claude?
Ponto-chave Uma chave de sessão é um cookie chamado `sessionKey` que o claude.ai coloca no seu navegador depois de iniciar sessão. Na tabela pública de cookies da Anthropic, a sua finalidade é indicada como “Autenticação”. Enquanto lá estiver, o serviço assume que é você que está ao ecrã e não pede mais nada.
Quando introduz o seu e-mail e o código da mensagem, o serviço verifica a sua identidade uma vez. O resultado dessa verificação tem de ser guardado algures, caso contrário teria de confirmar a sua identidade em cada clique. O seu navegador guarda-o num pequeno ficheiro que é enviado automaticamente para o servidor com cada ação que realiza no site. O Claude usa um ficheiro chamado `sessionKey`. A Anthropic inclui-o na sua tabela pública de cookies: | Nome | Finalidade | Domínios | Duração | |----|----|----|----| | `sessionKey` | Autenticação | `.anthropic.com`, `.claude.ai`, `console.anthropic.com` | 1 mês | A mesma tabela inclui vários outros cookies do serviço com durações curtas, mas é este que as pessoas pedem. A Anthropic descreve a categoria da seguinte forma:

Os cookies essenciais permitem o funcionamento básico dos nossos serviços e não podem ser recusados. Incluem, por exemplo, a autenticação, as definições do site (incluindo as preferências de cookies) ou a segurança.

— Anthropic, tabela de cookies, https://privacy.claude.com/en/articles/10023541-what-cookies-does-anthropic-use
Não pode recusar este cookie porque, sem este ficheiro, não consegue iniciar sessão. O seu valor parece uma sequência longa que começa por `sk-ant-sid`. Se alguém lhe pedir “uma sequência que começa por sk-ant-sid”, é exatamente disto que está a falar. Uma nota sobre os prazos, para evitar confusões mais adiante. A tabela indica um mês para o próprio ficheiro, enquanto a sessão dura 28 dias; cada hora em que faz alguma coisa no claude.ai reinicia a contagem. A conclusão prática é simples: uma chave que entregar hoje funcionará durante semanas e a sua própria atividade só prolongará ainda mais o prazo de validade. Neste artigo, “chave de sessão” e “token de sessão” significam a mesma coisa. ## Em que difere uma chave de sessão de uma palavra-passe e de uma chave de API?
Ponto-chave A sua palavra-passe e o código de verificação são verificados uma vez, quando inicia sessão. A chave de sessão é criada depois dessa verificação, pelo que não pede um segundo fator. As chaves API são geridas separadamente das sessões do navegador: revogar uma chave não exige sair da conta interativa. As sessões do navegador também podem ser terminadas individualmente em Active sessions.
São três coisas diferentes que as pessoas costumam confundir sob a expressão “acesso à conta”: | | Palavra-passe | Chave de sessão | Chave de API | |----|----|----|----| | O que é | um pedido para iniciar sessão | uma sessão iniciada e confirmada | uma autorização para um programa | | Quando é usada | uma vez, ao iniciar sessão | em cada pedido | em cada pedido | | Segundo fator | verificado juntamente com ela | já foi verificado anteriormente | não se aplica | | O que permite | iniciar sessão na conta | toda a conta: conversas, ficheiros, definições | chamadas ao modelo, sem conversas | | Como revogá-la | alterar a palavra-passe | terminar a sessão afetada ou todas as sessões em caso de dúvida | eliminar uma chave na consola | | Quem é afetado pela revogação | depende do sistema de início de sessão | a sessão selecionada ou todos os dispositivos na saída global | só as aplicações que usam essa chave | | Partilha com terceiros | proibida pelas regras | proibida pelas regras | prática habitual | A diferença entre as duas primeiras colunas é como a diferença entre um passaporte e uma pulseira com tudo incluído. Mostra o passaporte na receção; depois de o verificarem, dão-lhe a pulseira. Entregue a pulseira a outra pessoa e ela poderá comer, beber e entrar no seu quarto sem que ninguém lhe peça o passaporte. Alterar um passaporte perdido não faz desaparecer uma pulseira que esteja no braço de outra pessoa. Não precisa de substituir manualmente o cookie: termine a sessão afetada em Active sessions. Se não conseguir identificar com segurança a sessão divulgada, termine todas as sessões da conta, incluindo as suas. ## Porque é que as extensões e os serviços pedem esta chave?
Ponto-chave Há quatro razões diferentes para pedirem uma chave de sessão e os compradores costumam agrupá-las sob a expressão “estão a ajudar-me a obter acesso”. Os vendedores de subscrições ativam um plano na sua conta. Os programas de terceiros encaminham pedidos através da sua subscrição para não pagarem pelo acesso à API. Os contadores de utilização e as exportações de conversas leem cookies a partir do navegador. A quarta categoria obtém a chave sem sequer pedir.
Eis dois exemplos reais. Não incluímos ligações para eles, para não lhes enviarmos tráfego. **Vendedores de subscrições.** Parece um serviço: paga menos do que o preço oficial, envia a sua chave e eles “ativam” o Pro ou o Max na sua própria conta. Um anúncio deste tipo estava à venda num grande mercado de produtos digitais a 19 de agosto de 2026. As condições dizem que só é necessária uma chave de sessão e uma linha separada tranquiliza os leitores, dizendo que não precisarão da palavra-passe nem de acesso ao e-mail. O anúncio tinha sido vendido mais de cem vezes, com 38 reembolsos, e o vendedor exclui antecipadamente, numa linha separada, qualquer responsabilidade por um eventual bloqueio da conta. As instruções em russo de outro serviço semelhante terminam com dois pedidos que significam a mesma coisa: não termine sessão na sua conta Claude até a encomenda estar concluída e mantenha a sessão iniciada até a ativação terminar. Terminar sessão encerra a sessão e torna inútil a chave que entregou. O serviço sabe-o e pede-lhe que não o faça. As instruções não dizem o que acontece à chave depois de “a ativação estar concluída”. **Programas de terceiros que usam o Claude na Web.** O claude.ai tem pontos de acesso internos que a própria página utiliza enquanto trabalha nela. Se alguém associar o cookie de outra pessoa a um desses pedidos, pode encaminhar a atividade através de uma subscrição em vez de pagar pelo acesso à API. Existem bibliotecas públicas para o fazer; as mais populares têm perto de mil estrelas no GitHub e as respetivas instruções têm exatamente um passo sobre a chave. Um projeto mantém um conjunto completo de cookies de outras pessoas e alterna entre eles, com o estado “bloqueada” para as chaves do conjunto: os autores sabem de antemão que algumas contas que lhes são entregues serão desativadas e incorporaram essa possibilidade no programa. **Contadores de utilização, exportações de conversas e integrações.** Esta categoria normalmente não lhe pede para colar nada porque a extensão funciona dentro do navegador e recolhe o cookie já aí guardado. A única diferença em relação às duas primeiras categorias é que o programa a que concedeu autorização carrega no botão de cópia por si. **A quarta categoria rouba a chave.** As páginas falsas de instalação, os programas que apagam tudo o que está guardado no navegador e as extensões que mudam depois de uma transferência de propriedade são abordados separadamente mais abaixo. ## O que pode ver alguém que tenha a sua chave?
Ponto-chave Alguém com a sua chave de sessão vê exatamente aquilo que você vê ao abrir o claude.ai. A lista e o conteúdo de todas as conversas, os ficheiros carregados para conversas e Projetos, a memória e as instruções personalizadas, o e-mail da conta, o plano e os limites de utilização restantes. Também pode escrever em seu nome e, no histórico, parecerá que foi você quem fez o trabalho.
A chave de sessão está associada a si no seu todo; não diz respeito a uma conversa específica. Por isso, dá acesso a toda a conta: - **Conversas.** Todas as conversas, incluindo versões anteriores das respostas ocultas por setas na interface. - **Ficheiros.** Contratos, exportações de bases de dados, modelos financeiros, capturas de ecrã — tudo o que alguma vez arrastou para uma conversa ou colocou num Projeto. - **Memória e instruções personalizadas.** O que contou ao Claude sobre si e o seu trabalho para não ter de repetir tudo de cada vez. - **E-mail e plano da conta.** Pode ver estas informações na página de definições, tal como você. - **Limites de utilização restantes e quanto ainda pode gastar.** Normalmente, são estes os números que os contadores são instalados para mostrar. - **Permissão para agir.** A pessoa pode enviar pedidos, eliminar conversas e alterar definições. A interface do Claude não mostra os dados completos do cartão, por isso o seu cartão não será roubado. Mas a sua subscrição está na mesma conta em que outra pessoa já entrou e pode ser cancelada com o botão habitual nas definições.
Nota O que não foi verificado e, por isso, não é aqui afirmado. A tabela de cookies da Anthropic inclui `console.anthropic.com` entre os domínios de `sessionKey`; trata-se da consola de programador, onde são apresentadas as chaves de API e a sua utilização. A lista de domínios não demonstra que o mesmo valor abra os três sites: o centro de ajuda da Anthropic observa separadamente que as contas do claude.ai e da consola funcionam de forma independente, mesmo quando usam o mesmo e-mail. Não foi feito qualquer teste numa conta ativa, pelo que esta continua a ser uma questão em aberto: não foi confirmada.
As conversas eliminadas desaparecem imediatamente do histórico e, no prazo de trinta dias, do armazenamento da Anthropic. O tempo durante o qual outra pessoa pode ler as suas conversas depende da duração da chave de sessão; apagar conversas não a afeta de todo. É melhor guardar o conhecimento profissional em ficheiros de um projeto: pode consultá-los e editá-los, e a perda de uma sessão não os apaga. ## Porque é que isto é mais perigoso do que uma palavra-passe roubada?
Ponto-chave Uma palavra-passe roubada depara-se com o segundo fator e continua a ter uma opção: alterá-la. A chave de sessão surge depois de o segundo fator já ter sido confirmado, pelo que não precisa de confirmação adicional. Uma sessão do Claude dura 28 dias e cada hora de trabalho no site reinicia a contagem.
A afirmação “a extensão contorna a proteção de dois fatores” soa dramática e também é imprecisa. A extensão entra em ação depois de a palavra-passe ter sido verificada, de o código do e-mail ter sido introduzido e de o servidor ter emitido uma confirmação. É essa confirmação que é roubada. A segunda característica é a duração. Enquanto a sessão estiver ativa, a chave funciona e pode continuar a usar a sua conta normalmente, prolongando o acesso de outra pessoa cada vez que a visita. O terceiro ponto diz respeito à flag HttpOnly. É considerada a principal proteção de uma sessão e impede, de facto, que os scripts da própria página acedam ao cookie. No entanto, as extensões podem lê-lo através de um mecanismo separado. A descrição desse mecanismo no projeto Chromium diz:

Esta API também expõe à extensão os dados dos cookies assinalados como HttpOnly.

— Chromium, proposta para a API de cookies das extensões, https://www.chromium.org/developers/design-documents/extensions/proposed-changes/apis-under-development/proposal-chrome-extensions-cookies-api/
A documentação atual do Chrome confirma-o indiretamente: uma extensão recebe um objeto de cookie com uma propriedade `httpOnly`, o que significa que também consegue ver estes cookies. Claro que nem todas as outras extensões roubam cookies. O problema é que “disponível na loja e muito bem classificada” já não garante nada, por isso preste atenção à lista de permissões. ## O que dizem as regras do Claude sobre isto?
Ponto-chave A secção 2 dos Termos para consumidores da Anthropic proíbe a partilha de credenciais da conta e a secção 3 proíbe o acesso ao serviço por meios automatizados sem uma chave de API. É responsável por tudo o que acontece na sua conta. A secção 13 permite à Anthropic suspender ou terminar o acesso a qualquer momento e sem aviso; entregar uma única chave de sessão afeta as três disposições ao mesmo tempo.
A secção 2 dos [Termos para consumidores da Anthropic](https://www.anthropic.com/legal/consumer-terms), na íntegra:

Não pode partilhar as credenciais da sua conta, a sua chave de API da Anthropic ou as credenciais da conta com ninguém, nem permitir que outra pessoa aceda à sua conta.

— Anthropic, Termos para consumidores, secção 2, https://www.anthropic.com/legal/consumer-terms
A entrega de uma chave de sessão enquadra-se diretamente nesta disposição. A mesma secção afirma que o titular da conta é responsável por toda a atividade realizada através da conta e deve informar imediatamente o apoio sobre qualquer acesso não autorizado. A secção 3 proíbe separadamente o acesso ao serviço “por meios automatizados ou não humanos, através de um bot, script ou de outra forma” se não for feito através de uma chave de API. A secção 13 confere à Anthropic o direito de suspender ou terminar o acesso a qualquer momento e sem aviso se a empresa considerar que houve uma violação material dos termos. A entrega de uma única chave afeta as três disposições ao mesmo tempo. A documentação do Claude Code diz o seguinte sobre programas de terceiros:

A Anthropic não permite que programadores terceiros ofereçam o início de sessão no Claude.ai nem encaminhem pedidos através das credenciais dos planos Free, Pro e Max em nome dos seus utilizadores. A Anthropic reserva-se o direito de tomar medidas para fazer cumprir estas restrições e poderá fazê-lo sem aviso prévio.

— Anthropic, documentação do Claude Code, secção sobre autenticação, https://code.claude.com/docs/en/legal-and-compliance
Uma ressalva sobre o que é aqui afirmado: não foi encontrada nenhuma declaração pública da Anthropic a dizer “banimos pessoas por partilharem sessionKey”, pelo que o artigo não atribui essa formulação à empresa. Os documentos mostram que as regras proíbem explicitamente essa prática, que o titular da conta é responsável e que o acesso pode ser desativado sem aviso. Há também sinais indiretos: os programas de terceiros incluem “bloqueada” como um estado habitual da chave. Existe ainda uma segunda proibição. As regras de utilização proíbem contornar um bloqueio através de outra conta e conceder acesso a alguém que já tenha sido desativado. Se alguém comprou a sua chave para esse efeito, a violação será registada na sua conta. Os outros motivos pelos quais a Anthropic termina o acesso estão reunidos no artigo sobre [porque é que as contas Claude são bloqueadas](https://ailoot.ai/blog/pt-pt/claude-account-suspension-appeal/). ## Como verificar uma extensão antes e depois de a instalar?
Ponto-chave Antes da instalação, só consegue ver algumas coisas: o que a secção sobre dados na página da loja diz e se a extensão aparece sequer na pesquisa da loja. Tudo o resto é verificado nas extensões já instaladas e demora cerca de dez minutos. O principal sinal de alerta é uma extensão sem relação com o Claude ter permissão para funcionar no próprio claude.ai.
**O que pode ver antes da instalação.** A página da loja tem uma secção de privacidade que indica que dados a extensão recolhe e partilha. A segunda pista é a forma como a encontrou. Se não conseguir encontrar a extensão na pesquisa da loja e só a puder instalar através de uma ligação direta enviada por outra pessoa, encare isso como um sinal de alerta. **O que verificar nas extensões já instaladas.** Hoje, percorra estes cinco passos para a lista completa. 1. ### Abra a lista de extensões e verifique as permissões O endereço é `chrome://extensions`; na extensão que quer verificar, clique em “Detalhes”. No Edge, o endereço é `edge://extensions`. O Arc e outros navegadores baseados no mesmo motor usam o mesmo endereço `chrome://extensions`. 2. ### Procure uma linha sobre claude.ai O Chrome não apresenta um aviso separado sobre o acesso a cookies, por isso consulte a lista de sites. Uma linha como “Ler e alterar os seus dados em claude.ai” significa que a extensão funciona dentro da sua sessão do Claude. Isso é normal num contador de utilização. Não é normal quando essa linha aparece numa extensão sem relação com o Claude. 3. ### Verifique se o acesso a todos os sites está autorizado A secção “Acesso a sites” poderá mostrar “Em todos os sites”. Isso permite à extensão aceder também ao seu banco, ao seu e-mail e ao painel de administração do seu site. Um contador de utilização do Claude não precisa disso em circunstância alguma. 4. ### Reduza o acesso ao mínimo No mesmo local, altere “Em todos os sites” para “Em sites específicos” ou “Ao clicar”. A extensão continuará a funcionar onde for necessário e deixará de ler tudo o resto. 5. ### Verifique se a propriedade mudou As extensões são revendidas e um novo proprietário pode lançar uma atualização que é instalada silenciosamente. Os sinais incluem um editor ou endereço de apoio diferente, uma atualização após um longo período de inatividade sem uma descrição clara das alterações, novas permissões que não existiam na versão anterior ou uma vaga súbita de avaliações a denunciar resultados de pesquisa e anúncios substituídos. Há também uma sexta verificação para quem quiser investigar mais a fundo: ative o “Modo de programador” na mesma página, clique na ligação azul sob a extensão e depois use o separador “Rede” para ver para onde vão os pedidos. Só devem ir para o próprio claude.ai e para o site do autor da extensão. Se aparecer um terceiro endereço que não seja mencionado na descrição, a extensão está a enviar os seus dados para outro sítio. Esta verificação é trabalhosa; os primeiros cinco passos são suficientes sem ela. E faça a si próprio uma última pergunta: porque é que esta tarefa precisa da chave de toda a sua conta? É possível mostrar os limites de utilização restantes sem ela e também exportar conversas. ## O que deve fazer se já entregou a chave?
Ponto-chave Há seis passos; faça os dois primeiros nos próximos cinco minutos. Primeiro, remova a extensão, caso contrário a próxima chave será divulgada da mesma forma. Depois, verifique a lista de sessões ativas e termine todas. Alterar apenas a palavra-passe não encerra a sessão de outra pessoa, por isso esse é o terceiro passo.
1. ### Remova a extensão ou revogue o respetivo acesso Enquanto estiver instalada, qualquer nova chave seguirá o mesmo caminho. Aceda a `chrome://extensions` e clique em “Remover”. 2. ### Veja quem está atualmente na sua conta No claude.ai, abra “Definições”, a secção “Conta” e o bloco “Sessões ativas”. Para cada sessão, pode ver o dispositivo e o navegador, a localização aproximada com base no endereço de ligação e a hora da última utilização; a sua sessão atual está assinalada com um ícone “Sessão atual”. Uma cidade desconhecida ou o navegador de outra pessoa na lista não deixa margem para dúvidas. Pode terminar uma sessão específica através do menu de três pontos, selecionando “Terminar” e confirmando em seguida. 3. ### Termine todas as sessões de uma só vez No mesmo local, em “Definições” → “Conta”, existe um botão “Terminar sessão”. Este termina a sessão em todos os dispositivos: navegadores, aplicações móveis e programas para computador. Isto fecha todas as sessões ativas. Terminar individualmente a sessão afetada também a revoga; use a saída global quando não conseguir identificá-la com segurança. A Anthropic observa que as aplicações móveis do Claude para iOS e Android não têm este botão; termine a sessão num navegador. 4. ### Altere a palavra-passe se iniciar sessão com uma Ignore este passo se iniciar sessão com “Continuar com o Google” ou através de uma conta profissional. A ordem é importante: alterar a palavra-passe impede inícios de sessão futuros, mas não interrompe sessões já abertas, por isso faça-o depois do passo 3. 5. ### Notifique a Anthropic Os Termos para consumidores exigem que comunique imediatamente o acesso não autorizado enviando um e-mail para . Não envie o e-mail apenas para assinalar uma caixa: se alguém já tiver feito alguma coisa na sua conta, ficará registado que foi você a comunicar a situação. 6. ### Reveja as chaves e o histórico Se tiver uma conta na consola de programador, verifique a secção “Chaves de API” e elimine tudo aquilo de que não tiver a certeza. A Anthropic recomenda a revogação de uma chave assim que suspeitar de uma fuga e a definição simultânea de limites de utilização. Em seguida, elimine as conversas e os ficheiros confidenciais dos Projetos: desaparecem imediatamente do histórico e do armazenamento no prazo de trinta dias. Para transferir uma cópia completa das conversas para revisão, aceda a “Definições” → “Privacidade” → “Exportar dados”; a ligação para o arquivo fica disponível durante um dia. Verifique também se algo foi divulgado anteriormente por outra via: consulte o artigo sobre [conversas do Claude que aparecem na pesquisa do Google](https://ailoot.ai/blog/pt-pt/claude-shared-chats-search-privacy/), relativo a ligações públicas para conversas. Há uma pergunta distinta que leva as pessoas a hesitar no terceiro passo: o que acontece a uma subscrição que já pagaram a um vendedor? O botão “Terminar sessão” fecha as sessões e não afeta a subscrição: o plano está associado à conta e pode ser cancelado separadamente através de um botão na secção “Faturação”. Portanto, pode terminar todas as sessões e manter o plano pago. No entanto, as condições do próprio vendedor excluem a responsabilidade por bloqueios, pelo que não tem proteção; a decisão “vou esperar porque não quero perder o dinheiro” não o protege de absolutamente nada. Há uma coisa que não pode desfazer: aquilo que foi lido já foi lido. E, se os chats continham dados de clientes, fale com a pessoa responsável pela proteção de dados na sua organização. ## Como pode fazer o mesmo sem uma chave?
Ponto-chave Cada uma das quatro razões pelas quais alguém pede a chave pode ser resolvida pelo método normal, sem entregar uma chave de sessão. A utilização pode ser consultada na própria conta, as conversas podem ser exportadas com um botão, o seu serviço pode ser ligado através de uma chave de API e os serviços externos, como o Notion, podem ser ligados através de conectores oficiais. Não existe nenhuma forma segura de obter a subscrição de outra pessoa.
| Tarefa | Forma habitual de a realizar | |----|----| | Ver os limites de utilização restantes | Página de utilização na própria conta, comando `/usage` no Claude Code, contadores de terceiros que não acedem à chave | | Exportar conversas | “Definições” → “Privacidade” → “Exportar dados”; o arquivo chega por e-mail | | Ligar o Claude ao seu serviço ou bot | Chave de API na consola de programador, com uma chave separada para cada ambiente | | Ligar o Claude ao Notion, a uma unidade ou a um calendário | Conectores oficiais: o próprio serviço concede e revoga o acesso | | Trabalhar diretamente com o Claude no navegador | Extensão oficial Claude in Chrome | | Obter por menos dinheiro a subscrição de outra pessoa | Não existe uma forma habitual | Pode revogar chaves API individualmente sem fechar as sessões do navegador. Estas também permitem encerramento individual, mas os controlos e o âmbito são separados: remova uma chave API comprometida na consola ou termine uma sessão Web afetada em Active sessions. A Anthropic recomenda a utilização de chaves diferentes para ambientes diferentes — desenvolvimento, teste e produção — e a respetiva alteração segundo um calendário, por exemplo, de 90 em 90 dias. Consulte as [instruções para renovar a subscrição](https://ailoot.ai/blog/pt-pt/claude-subscription-renewal-cancellation/). Uma nota à parte sobre a extensão oficial, porque também pode aceder às conversas. A diferença é que utiliza o seu início de sessão no Claude no seu próprio dispositivo e não envia nada para fora: a chave não sai dali. Mesmo assim, a Anthropic é cautelosa nas suas orientações: recomenda executar a extensão num perfil de navegador separado, sem acesso a contas bancárias, médicas ou governamentais. Se o criador da plataforma é tão cuidadoso com o seu próprio produto, tenha ainda mais cuidado com uma extensão de terceiros que pode aceder ao claude.ai. ## Que outras perguntas fazem sobre as chaves de sessão?
Ponto-chave Seis perguntas frequentes. Alterar a palavra-passe não encerra a sessão de outra pessoa: essa sessão foi autenticada anteriormente e continua a funcionar por si própria. Uma chave dura 28 dias, mas esses dias são contados a partir da sua última atividade no site; cada visita empurra ainda mais para o futuro o acesso de outra pessoa. Um distintivo de editor verificado numa loja de extensões também não garante nada.
### Perguntas frequentes Alterei a minha palavra-passe. O acesso da outra pessoa foi encerrado? Não. Alterar a palavra-passe impede inícios de sessão futuros, mas a chave de sessão emitida continua a funcionar porque a sessão foi autenticada anteriormente. Termine a sessão afetada em “Settings” → “Account” → “Active sessions” ou use “Log Out” para toda a conta se não identificar qual foi divulgada. Passou um mês, por isso a chave já não funciona, certo? Não necessariamente. A Anthropic diz que uma sessão Web dura 28 dias e é prolongada até 28 dias a cada hora em que faz alguma coisa no claude.ai. Enquanto usar a sua conta, o prazo de validade avança e o acesso de outra pessoa também. O serviço promete eliminar a chave depois da ativação. Posso confiar? É impossível verificar isso, antes ou depois. Pode revogar pessoalmente a sessão afetada. Se não a identificar com segurança, termine todas as sessões em vez de confiar numa promessa de eliminar o valor copiado. Aliás, os vendedores pedem-lhe explicitamente que não o faça antes de a ativação estar concluída. A extensão está na loja oficial e tem um distintivo de editor verificado. Isso não é uma garantia? O distintivo foi atribuído a uma versão anterior; não garante nada sobre a versão atualmente instalada no seu dispositivo. Não tenho nada de secreto na minha conta Claude. Mesmo assim, corro algum risco? Olhe para a conta de outra perspetiva: contém não só aquilo que considera secreto, mas também o seu e-mail, o plano, a memória com informações sobre o seu trabalho e tudo o que alguma vez carregou para os chats. Também permite realizar ações em seu nome e as regras da Anthropic permitem desativar a conta sem aviso. Como posso saber se alguém já usou a chave? Abra “Definições” → “Conta” → “Sessões ativas”. A lista mostra o dispositivo, o navegador, a localização aproximada e a hora da última utilização de cada sessão. Uma entrada desconhecida significa que alguém está na conta.
## O que fazer a seguir
Ponto-chave Se ainda não entregou a sua chave de sessão, não o faça: quase sempre é possível realizar normalmente a tarefa para a qual as pessoas a pedem, sem dar acesso à conta inteira. Se já a entregou, abra “Definições” → “Conta” → “Terminar sessão”. Demora um minuto e a sessão da outra pessoa deixa imediatamente de funcionar. Em qualquer dos casos, termine revendo as extensões instaladas: demora cerca de dez minutos e costuma trazer uma surpresa desagradável.
Rever as extensões demora cerca de dez minutos e costuma trazer uma surpresa desagradável. Abra `chrome://extensions` e conte quantas têm acesso “Em todos os sites”. Altere para “Ao clicar” tudo o que puder funcionar sem esse acesso. Quanto às restantes, verifique se claude.ai está listado numa extensão sem relação com o Claude. Eis uma regra que também se aplica para além desta situação. Se uma ferramenta pedir acesso à sua conta inteira quando poderia utilizar uma chave separada, está a poupar trabalho à sua custa. O artigo [É seguro dar ao Claude Code acesso aos seus dados?](https://ailoot.ai/blog/pt-pt/claude-code-data-access-safety/) explica o que vale e o que não vale a pena facultar às ferramentas de IA. Consulte [segurança do vibe coding](https://ailoot.ai/blog/pt-pt/vibe-coding-security/) para saber mais sobre vulnerabilidades em coisas criadas com vibe coding.
### Fontes - [Anthropic — Que cookies utiliza a Anthropic? Tabela completa](https://privacy.claude.com/en/articles/10023541-what-cookies-does-anthropic-use) - [Anthropic — Termos para consumidores](https://www.anthropic.com/legal/consumer-terms) - [Anthropic — Política de utilização](https://www.anthropic.com/legal/aup) - [Claude Code — Questões legais e autenticação](https://code.claude.com/docs/en/legal-and-compliance) - [Anthropic — Como terminar sessão em todas as sessões ativas e durante quanto tempo dura uma sessão](https://support.claude.com/en/articles/10310342-how-do-i-log-out-of-all-active-sessions) - [Anthropic — Gerir sessões ativas](https://support.claude.com/en/articles/13124001-managing-your-active-sessions) - [Anthropic — Como utilizar o Claude in Chrome em segurança](https://support.claude.com/en/articles/12902428-use-claude-in-chrome-safely) - [Anthropic — Práticas recomendadas para chaves de API](https://support.claude.com/en/articles/9767949-api-key-best-practices-keeping-your-keys-safe-and-secure) - [Anthropic — Exportar os seus dados](https://support.claude.com/en/articles/9450526-export-your-claude-data) - [Anthropic — Durante quanto tempo guardam os meus dados?](https://privacy.claude.com/en/articles/10023548-how-long-do-you-store-my-data) - [Anthropic — Cancelar uma subscrição na secção Faturação](https://support.claude.com/en/articles/8325617-how-do-i-cancel-my-paid-claude-subscription) - [Anthropic — As contas Claude e da consola funcionam de forma independente](https://support.claude.com/en/articles/8987223-does-my-claude-ai-account-work-for-the-developer-console) - [Claude Code — O comando /usage e a gestão de custos](https://code.claude.com/docs/en/costs) - [Chrome — A API chrome.cookies e os requisitos de permissões](https://developer.chrome.com/docs/extensions/reference/api/cookies) - [Chrome — Como declarar permissões de extensões](https://developer.chrome.com/docs/extensions/develop/concepts/declare-permissions) - [Chrome — Depuração de extensões](https://developer.chrome.com/docs/extensions/get-started/tutorial/debug) - [Chromium — Proposta para a API de cookies e acesso a cookies HttpOnly](https://www.chromium.org/developers/design-documents/extensions/proposed-changes/apis-under-development/proposal-chrome-extensions-cookies-api/)
[Abrir Ailoot](https://ailoot.ai/). ## Perguntas frequentes ### Tenho de sair de todos os dispositivos para revogar uma sessão divulgada? Se identificar a sessão afetada, termine-a em Settings → Account → Active sessions. Se não souber qual foi divulgada, use Log Out para toda a conta; isso também termina as suas próprias sessões. ### O que faço antes de voltar a iniciar sessão após uma extensão divulgar uma chave? Remova primeiro a extensão ou revogue-lhe o acesso para não capturar a sessão seguinte. Revogue depois a sessão afetada ou todas as sessões, conforme necessário, e reveja o histórico da conta e as chaves API geridas separadamente. ## Ailoot · A empresa e a sua carteira de projetos A Ailoot assenta numa experiência operacional consolidada, numa ampla base de clientes, num serviço estável e no acompanhamento contínuo dos KPI. A empresa e a sua carteira de projetos: milhões de clientes; vendas mensais na ordem dos milhares de milhões. A Ailoot aplica essa experiência operacional ao acesso por API a funcionalidades de IA nos produtos dos clientes, agentes, aplicações e automatizações.